怎么扫描漏洞

去年有个客户找我，扫描漏洞说他们的扫描漏洞后台被人拖了库，问能不能查查漏洞在哪。扫描漏洞我登上去扫了一遍，扫描漏洞发现他们某个API接口连鉴权都没做，扫描漏洞直接暴露在公网上。扫描漏洞这种事其实挺常见的扫描漏洞——很多人以为装个WAF、配个HTTPS就万事大吉了，扫描漏洞结果最薄弱的扫描漏洞地方往往是自己写的业务代码。

扫描漏洞这件事，扫描漏洞说复杂也复杂，扫描漏洞说简单也简单。扫描漏洞核心就一句话：用工具模拟攻击者的扫描漏洞行为，看系统会不会露出破绽。扫描漏洞但具体怎么扫、扫描漏洞扫什么、扫完怎么判断，这里面有不少门道。

先搞清楚你要扫什么

漏洞扫描不是拿个工具一通乱怼就完事。你得先明确目标：是扫一个网站、一个内网网段、还是一个App的接口？目标不同，工具和策略完全不一样。

比如扫Web应用，最常用的就是OWASP ZAP和Burp Suite。ZAP免费开源，适合快速上手；Burp的社区版功能有限，但专业版确实是吃饭的家伙。我一般先用ZAP跑一遍被动扫描，把流量代理进去，正常操作一遍网站，它就能自动记录所有请求并分析潜在问题。这一步不用主动发包，对生产环境影响小。

如果是扫内网主机，Nessus和OpenVAS是主流选择。Nessus的插件库更新快，误报率相对低，但收费。OpenVAS免费，配置起来稍微折腾一些。我自己的习惯是先用nmap扫端口，看看哪些机器开了什么服务，再针对性地用Nessus做深度检测。

手动测试才是关键

工具扫出来的东西，顶多算线索。真正要确认漏洞是否存在，还得手动验证。

举个例子：扫描器报告某个参数可能存在SQL注入，但它只是根据返回的报错信息猜的。你得自己构造payload去试，看能不能真正读出数据。有时候扫描器报了一堆“疑似”，实际手动一测全是误报——因为返回的报错页面是自定义的，扫描器被误导了。

反过来，有些漏洞扫描器根本发现不了。比如逻辑漏洞：你下单的时候把价格改成负数，或者越权查看别人的订单。这些需要你理解业务逻辑之后，自己设计测试用例。工具帮不了你。

我一般会花60%的时间在手动测试上。扫描器跑完一轮可能就十几分钟，但手动验证和深入挖掘往往要花好几个小时。

扫描频率和时机

别等到上线了才想起来扫。开发阶段就应该介入。现在很多团队搞DevSecOps，在CI/CD流水线里集成SAST工具（比如SonarQube），每次提交代码自动分析。虽然误报多，但能拦住不少低级问题。

上线之后，至少每季度做一次全面扫描。如果业务迭代快，每月一次也不过分。另外，每次大版本更新前必须扫一遍——新代码引入新漏洞的概率很高。

还有一点：扫描本身可能对系统造成压力。有些扫描器会发送大量请求，把服务器打挂。所以生产环境的扫描尽量放在低峰期，并且提前跟运维打好招呼。

扫完之后怎么办

扫出一堆漏洞，别急着全修。先分级：能直接获取权限的、能泄露敏感数据的，优先级最高；反射型XSS这种需要诱导用户点击的，可以排后面。

修复的时候也别只堵一个点。比如发现某个接口存在SQL注入，不要只把这个接口的参数过滤了，把整个项目里所有类似的数据库查询都检查一遍。同一个开发写的代码，很可能犯同样的错误。

最后说个实在话：没有哪次扫描能保证100%覆盖所有漏洞。扫描只是手段，不是目的。真正重要的是建立起一套持续发现和修复问题的机制。工具会更新，漏洞会进化，但思路不变——像攻击者一样思考，然后比他们先一步找到问题。